DialogWeb™ 

l/19/l 

014047525 "Image available** 
WPI Acc No: 2001-531738/200159 
XRPX Acc No: N01 -394897 

Accessing by user distant medical diagnosis system 

containing protected software application via network by providing 

authorization certificate to user so that he/she may use protected 

software application 

Patent Assignee: GE MEDICAL TECHNOLOGY SERVICES (GENE ) 

Inventor: HUMMEL H J; LAMOUREAUX T L; MEHRING D T; PALLIYAL S M; ZETTEL H A 

Number of Countries: 003 Number of Patents: 003 

Patent Family: 

Patent No Kind Date Applicat No Kind Date Week 
FR 2803462 A1 20010706 FR 200017267 A 20001229 200159 B 
DE 10065668: A1 20010809 DE 1065668 A 20001229 200159 
JP 2001229130 A 20010824 JP 2000392433 A 20001225 200163 
Priority Applications (No Type Date): US 99476594 A 19991231 
Patent Details: 

Patent No Kind Lan Pg Main IPC Filing Notes 

FR 2803462 A1 38 H04L-009/32 

DE 10065668 A1 G06F-012/14 

JP 2001229130 A 18 G06F-015/00 

Abstract (Basic): FR 2803462 A1 

NOVELTY - A central system establishes if a password and a code 
security are authentic (1 66) for determining if an approved user of a 
remote system (168) has reached a protected software application. The 
authorization certificate is provided to the user so that he/she may 
use (178) the protected software application on confirmation of the 
password and the code security. 

DETAILED DESCRIPTION - INDEPENDENT CLAIMS are included for: 

(a) a system for authenticating a user a software access and/or use 
by remote user 

(b) a system for authenticating an access of a remote medical 
diagnosing system 

USE - For accessing by a user of a distant medical diagnosis system 
via a network using protected software application The latter is stored 
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at the central maintenance level center and requires an authorization 
certificate for its use. For protecting of software and for controlling 
software use licences for remote applications. 

ADVANTAGE - Assures the maintenance of a number of workstations and 
systems of medical diagnosis operating through a network. 

DESCRIPTION OF DRAWING(S) - The drawing shows a flowchart of 
operation of a software security access and/or use by remote user 
according to the present invention. The drawing includes non-English 
language text. 
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Die folgenden An gab en sind den vom Anmelder eingereichten Unterlagen entnommen 

Verfahren und Vorrichtung zum sicheren Fernzugriff auf Software bei einer zentralen Dienstanlage 



Die Erfindung stellt ein Verfahren und ein System zur 
Zustellung geschutzter Softwareanwendungen von einer 
zentralen Dienstanlage (22) zu entfernten Systemen (12) 
bereit, wobei die Zustellung auf der Grundlage der Ge- 
meinschaftsmitgliedschaft des Benutzers eines entfern- 
ten Systems verwaltet wird. Es warden Geschaftsregeln 
(118) verwendet f um zu bestimmen, ob ein spezieller be- 
glaubigter Benutzer, der einen Zugriff auf eine geschutzte 
Softwareanwendung von einem speziellen entfernten 
Standort anstrebt, berechtigt warden soli. Eine Vielzahl 
von Web-Serve rn (110) ist dazu prog ram miert, einen se- 
lektiven Zugriff auf eine residente Softwareanwendung 
oder mehrere residente Softwareanwendungen durch 
Benutzer efnes entfernten Systems uber ein Netz (80) zu 
ermoglichen. Der Zugriff wird durch einen zentralen 
Richtiinien-Server (114) basierend auf Benutzer- und Sy- 
stem! nformationen sowie Gemeinschaftsdefinitionen, die 
in einer Datenbank (116) gespeichert sind, verwaltet. Der 
Richtiinien-Server kommuniziert mit jedem Web-Server 
uber ein in dem Web-Server enthaltenes Agenturmodul 
(112). Das Agenturmodul fangt Anforderungen zum Zu- 
griff von Benutzern eines entfernten Systems ab und ver- 
bindet sich daraufhin mit dem Richtiinien-Server. Der 
Richtiinien-Server beglaubigt Kennworter, wan rend er die 
Beglaubigung zugeordneter Sicherheitscodes an einen 
Sich erne its-Server (126) ubergibt. Falls das Ken n wort und 
der Sicherheitscode beglaubigt werden, wendet der 
Richtiinien-Server daraufhin die ... 
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Beschreibung 

Die Erfindung bezieht sich allgemein auf den Software- 
schutz und die Lizenziiberwachung von Anwendungssoft- 
ware und Informationsdateien fur Fernanwendungen. 

Die Femiiberwachung und -diagnose von Ausstattung 
oder Systemen stelit ein Beispiel fiir eine Fernanwendung 
dar. Derzeit entwickeln viele Firtnen Fahigkeiten zur Fern- 
iiberwachung und -diagnose von Ausstattung oder Syste- 
men. Die entfemte Ausstattung oder die entfernten Systeme 
(auf die nachstehend als entfemte Systeme Bezug genom- 
men ist) umfassen die Skala von industriellen Dampfturbi- 
nen bis zu vernetzten Druckern, von medizinischer Abbil- 
dungsausstattung bis zu Haushaltsgeraten. In beinahe alien 
Fallen befindet sich eine gewisse Rechenfahigkeit bei den 
entfernten Systemen wie beispielsweise eine Verarbeitungs- 
einrichlung. Im allgemeinen fiihrt die Verarbeilungseinrich- 
tung Funktionen aus wie beispielsweise eine Datenerfas- 
sung, eine Belriebsuberwachung, eine Ausluhrung von Dia- 
gnoseanwendungen und eine BereilsLellung eines Zugriffs 
auf Informalionen und Anwendungen bei den entfernten Sy- 
stemen fur den EndbenuLzer oder Kunden. 

Bei einer typischen Femuberwachungsanwendung kon- 
nen bei einem entfernten System befindliche Software und 
andere Informationsdateien nicht durch den Lieferanten di- 
rekt kontrolliert werden, da sie sich in der Umgebung des 
Kunden befinden. Einige der S oftwarean wendungen und In- 
formationsdateien in der Verarbeitungsumgebung sind je- 
doch hochempfindlich und miissen vor einer Manipulation 
(z. B. einer versehentlichen Modifikation und einer boswil- 
ligen Beschadigung) geschutzt werden. Eine Manipulation 
bei Softwareanwendungen oder Informationsdateien wie 
beispielsweise bei dem entfernten System befindlichen Kon- 
figurationsdateien kann einen Benutzer daran hindern, auf 
eine benotigte Funktionalitat zuzugreifen. Alternativ kann 
es eine Manipulation einem Benutzer ermoglichen, auf eine 
beschrankte Funktionalitat zuzugreifen. Es ist sogar mog- 
lich, daB eine Manipulation zu einer Stoning der Ausstat- 
tung fiihrcn kann. 

Daher sind Systeme zum Schutz von bei einem entfernten 
System befindlichen Softwareanwendungen und Konfigura- 
tionsinformationsdatcicn vor einer Manipulation bckannt. 
Ein bekanntes System verwendet Mcchanismcn zur Sichcr- 
stcllung, da8 auf Datcicn von einem Kunden, der nicht fur 
sie bezahlt hat und dessen Zu griff beendet wurde, nicht zu- 
gegrifTen werden kann. Diese Mechanismen stellen eben- 
falls sicher, daB nicht mit dem Lieferanten iibereinstim- 
mende Dienstleister, die Dienste bei dem entfernten System 
vornehmen konnen, nicht auf Diagnosedienstprogramme 
zugreifen konnen. 

Typischerweise fuhren befugte AuBendiensttechniker 
Dienstbesuche bei entfernten Standorten zum Zwecke des 
Vomehmens von Diensten bei Ausstattung an den Standor- 
ten aus. Wahrend er sich im Aufiendienst befindet, kann der 
AuBendiensttechniker unter Verwendung einer AuBen- 
diensteinheit iiber ein Netz mit einer zentralen Dienstanlage 
kommunizieren. Die AuBendiensteinheit kann einen zur 
Verwendung durch AuBendiensttechniker an entfernten 
Standorten entworfenen tragbaren Computer aufweisen. Die 
Einheit umfaBt eine Dienstplattform, die gewisse funktio- 
nelle Schaltungen zur Begriindung einer einheitlichen 
Dienstgrundlage fur die entfernten Systeme aufweist. Femer 
umfassen die Diensteinbeiten spezinsche Diensthilfsein- 
ricbtungen, die es dem AuBendiensttechniker ermoglichen, 
Ferndienstnachrichten, Berichte iiber spezifische Diagnose- 
systeme, Dienstplane usw. anzufordern und zu empfangen. 
Durch die Dienstplattform kann der AuBendiensttechniker 
auf Syslemkonfiguralionen, hislorische Protokollinforma- 
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tionen, Systenmetzinformationen, Analyseprotokolle und - 
daten usw. zugreifen. Der AuBendiensttechniker kann auch 
Dienstaufzeichnungen aktualisieren. Typischerweise ist die 
AuBendiensteinheit mit einem Zugriffsmodul programrniert, 
5 urn es der Dienstanlage zu ermoglichen, den Lizenz- und Si- 
cherheitsstatus der AuBendiensteinheit zu verifizieren. Bei- 
spielsweise kann es das Zugriffsmodul in Zusammenarbeit 
mit Schaltungen bei der Dienstanlage einem AuBendienst- 
techniker ermoglichen, auf Daten oder Anwendungen zuzu- 
10 greifen, die einen Ifeil der Funktionalitat oder die gesamte 
Funktionalitat bereitstellen, die AuBendiensttechnikern bei 
der Dienstanlage angeboten wird. Derartige Funktionalita- 
ten konnen denen ahneln, die bei den entfernten Systemen 
selbst bereitgestellt sind, oder konnen dem AuBendienst- 
15 techniker ein breiteres Spektrum von Dienstoptionen anbie- 
ten. Insbesondere kann die AuBendiensteinheit mit Dienst- 
an wendungen ausgeslattet sein wie beispielsweise Dienst- 
anwendungen zur Analyse von Diagnosesystemleistungsda- 
ten, zur Planung regularer oder spezieller Dienstbesuche, 
20 zur Planung einer Versendung von Ersaizteilen usw. . Andere 
Anwendungen konnen es dem AuBendiensttechniker er- 
moglichen, sich mit Dienslanforderungen von dem entfern- 
ten System zu befassen sowie Dienstnachrichten und -aktua- 
lisierungen iiber die AuBendiensteinheit zu tibertragen. Die 
25 AuBendiensteinheiten k5nnen Personal-Computer oder Lap- 
top-Computer von jeder geeigneten Prozessorplattform um- 
fassen. 

Offensichtlich benotigen befugte AuBendiensttechniker 
einen Zugriffauf andere Softwareanwendungen als die Soft- 
30 wareanwendungen, auf die von anderen Systembenutzem 
zugegriffen wird. Insbesondere benotigt der AuBendienst- 
techniker einen Zugriff auf proprietare und sehr empfindli- 
che Software in der Form von Diensthiffseinrichtungen, 
Dienstdokumentation und Dienstaufzeichnungen, um ein 
35 Systemprobieme losendes und gutes Vornehmen von Dien- 
sten bei Ausstattung zu erm5glichen. Es ist im Geschaftsin- 
teresse des Betreibers der zentralen Dienstanlage, den Zu- 
griff auf proprietare und sehr empfindliche Software auf be- 
fugte Einzclpcrsoncn, d. h. auf Pcrsoncn mit der crfordcrli- 
40 chen Sicherheitsfreigabe, zu beschranken. Vorzugsweise er- 
moglicht cs ein Sichcrhcitssystcm AuBcndicnstpcrsonal und 
andcrcn befugten Pcrsoncn von dem entfernten System, bei 
dem Dienste vorgenommen werden, auf zentrale Software 
einer sehr cmpfindlichcn Natur zuzugreifen, wahrend cs an- 
45 dere befugte Benutzer, denen die erforderliche Sicherheits- 
freigabe fehlt, an einem Zugriff auf die gleiche Software 
hindert 

Somit besteht ein Bedarf an einem System zur Bereitstel- 
lung einer breiten Vielfalt von Softwareanwendungen fur 
50 eine breite Vielfalt von Gemeinschaften von Benutzern ei- 
nes entfernten Systems auf der Grundlage unterschiedlicher 
Sicherheitsstufen. In dem Fall, in dem eine Geschaftseinheit 
wie beispielsweise ein Krankenhaus iiber einen Dienstver- 
trag mit einem Lieferanten verfugt, der einen Dienst vor Ort 
55 und einen Zugriff von einem entfernten Standort auf bei ei- 
ner zentralen Anlage befindliche Softwareanwendungen be- 
reitstellt, besteht ein Bedarf an einem Verfahren zur Verwal- 
tung eines Fernzugriffs auf die Software durch Benutzer mit 
unterschiedlichen Sicherheitsklassifikationen. Das System 
60 so lite ferner dazu in der Lage sein, unterschiedliche Zu- 
griffsrechte fur verschiedene Personen mit der gleichen Si- 
cherheitsfreigabe bereitzustellen. Beispielsweise sollten in 
jeder Sicherheitsstufe die Benutzer basierend auf unter- 
schiedlichen Befugnisstufen und unterschiedlichen Stellen- 
65 verantwortiichkeiten (d. h. einer Mitgliedschaft in verschie- 
denen Gemeinschaften), die den Bedarf zum Zugriff auf un- 
terschiedliche eine spezielle Sicherheitsstufe erfordernde 
Softwareanwendungen verursachen, weiLer unlerschieden 
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werden. 

Die Erfindung ist auf ein Verfahren und ein System zur 
Zustellung geschiitzter Softwareanwendungen von einer 
zentralen Dienstanlage zu entfernten Systemen gerichtet, 
wobei die ZusteLLung auf der Grundlage der Sicherheitsfrei- 5 
gabestufe und auf der Grundlage der Gemeinschaftsmit- 
gliedschaft des Benutzers eines entfernten Systems verwal- 
tet wird. Es wird ein Sicherheitsschema mit zwei Faktoren 
verwendet, um zu bestimmen, ob Benutzer eines entfernten 
Systems, die einen ZugriflF auf mit einer hohen Stufe ge- 10 
schiitzte Softwareanwendungen anstreben, glaubwiirdig 
sind. Hs werden Geschaftsregeln zur Bestimmung, ob einen 
ZugrifF anstrebende beglaubigte Benutzer berechtigt werden 
so lien, verwendet. 

GemaB den bevorzugten Ausfuhrungsbeispielen der Er- 15 
findung ist eine Vielzahl von Web-Servern dazu program- 
imert, einen selekliven ZugrilT auf eine residente Soflware- 
anwendung oder mehrere residente Softwareanwendungen 
durch Benulzer eines entfernten Systems uber ein Netz zu 
enndglichen. Einige Anwendungen sind often, und andere 20 
Anwendungen sind geschiilzL, wobei vorzugsweise zwei 
Stufen des Schuizes auferlegL werden. Der ZugrilT wird 
durch einen zentralen Richtlinien-Server basierend auf Be- 
nutzer- und Systeminformationen sowie Gemeinschaftsdefi- 
nitionen, die in einer Datenbank gespeichert sind, verwaltet. 25 
Der Richtlinien-Server kommuniziert mit jedem Web-Ser- 
ver tiber ein in dem Web-Server enthaltenes Agenturmodul. 

Das Agenturmodul fangt Anforderungen zum Zugriff von 
Benutzern eines entfernten Systems ab und verbindet sich 
mit dem'Richtlinien-Server. Das Agenturmodul bestimmt, 30 
ob die angeforderte Anwendung often oder geschiitzt ist. 
Falls die angeforderte Softwareanwendung offen ist, signa- 
lisiert das Agenturmodul es dem Web-Server, den ZugrifF zu 
ermoglichen. Falls die angeforderte Softwareanwendung 
geschiitzt ist, kontaktiert das Agenturmodul den Richtlinien- 35 
Server. Der Richtlinien-Server beglaubigt Kennwdrter, wah- 
rend er die Beglaubigung zugeordneter Sicherheitscodes an 
einen Sicherheits-Server ubergibt. Falls das Kennwort und 
der Sichcrhcitscodc beglaubigt werden, wendet der Richtli- 
nien-Server daraufhin die Geschaftsregeln an, um zu be- 40 
stimmcn, ob der anfordemde Benutzer cincs entfernten Sy- 
stems dazu hefugr. ist, auf die geschiitzte Softwareanwen- 
dung zuzugrcifen. 

GemaB dem bevorzugten Ausfuhrungsbci spiel wird ein 
Zu griff auf strenger geschiitzte Softwareanwendungen er- 45 
moglicht, falls ein Sicherheitstest mit zwei Faktoren erfullt 
wird. Jeder Benutzer mit einer derartigen Sicherheitsfirei- 
gabe einer hohen Stufe muB sowohl ein geheimes Kennwort 
als auch eine zufallig erzeugte Sicherheitscodezahl bereit- 
stellen. Falls das Kennwort und der Sicherheitscode glaub- 50 
wurdig sind, werden daraufhin Benutzer-, Standort-, Sy- 
stem- und Vertragsinformationen sowie Geschaftsregeln zur 
Bestimmung, ob der Benutzer eines entfernten Systems ei- 
ner Gemeinschaft mit ZugrifTsrechten fur die streng ge- 
schiitzte Software angehort, verwendet. Eine spezielle Ein- 55 
zelperson kann gleichzeitig Mitglied verschiedener Ge- 
meinschaften sein. 

GemaB dem bevorzugten Ausfuhrungsbeispiel der Erfin- 
dung werden abhangig davon, ob der Benutzer eine Sicher- 
heitsfreigabe mit einem Faktor oder mit zwei Faktoren auf- GO 
weist, unterschiedliche Benutzerbeglaubigungsalgorithmen 
verwendet. Benutzer mit einer Sicherheitsfreigabe mit ei- 
nem Faktor sind berechtigt, auf Softwareanwendungen mit 
einer niedrigen Stufe des Schutzes zuzugrcifen, wahrend die 
Benutzer mit einer Sicherheitsfreigabe mit zwei Faktoren 65 
berechtigt sind, sowohl auf mit einer niedrigen Stufe ge- 
schiitzte als auch auf mit einer hohen Stufe geschiitzte Soft- 
wareanwendungen zuzugreifen. Vorzugsweise iibertrkgt der 
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spezielle Benutzer eines entfernten Systems eine Anforde- 
rung zum Zugriff auf eine spezielle Softwareanwendung 
uber einen Web-Browser bei dem entfernten System, wobei 
letzterer uber ein Netz mit dem Web-Server verbunden ist, 
bei dem sich die angeforderte Softwareanwendung befindet. 
Falls der Benutzer eine Sicherheitsfreigabe mit zwei Fakto- 
ren aufweist, muB er/sie wahrend einer Anmeldung beide 
Faktoren wie beispielsweise ein Kennwort und einen Si- 
cherheitscode zusatzlich zu einer Benutzeridentifizierung 
eingeben. Vorzugsweise wird die Sicherheitszahl von einer 
durch den Benutzer getragenen Zufallszahlenerzeugungs- 
einrichtung erhalten, die vorher mit einer eindeutigen Keim- 
zahl (seed number) geladen wurde. Die eindeutige Keimzahl 
und die Zeit, zu der die Zufallszahienerzeugung aktiviert 
wurde, werden in Verbindung mit dem Benutzernamen und 
dem Kennwort fur die Einzeiperson in einer zentralen Be- 
nutzerdatenbank gespeichert. Wenn der Benulzer lediglich 
eine Sicherheitsfreigabe mit einem Faktor aufweist, dann 
werden wahrend einer Anmeldung lediglich der eine Faktor 
(z. B. ein Kennwort) und die Benutzeridentifizierung einge- 
geben. 

In jedem Fall fangt das Agenturmodul fur den Web- Ser- 
ver, bei dem sich die angeforderte Software befindet, die 
Anforderung zum Zugriff und die angemeldeten Benutzer- 
informationen ab und leitet sie daraufhin zu dem zentralen 
Richtlinien-Server weiter. Vorzugsweise sind die verteilten 
Web-Server durch eine Firewall von dem zentralen Richtli- 
nien-Server getrennt. Die iibertragenen Infonnationen wer- 
den zur Bestimmung, ob die Anforderung zum Zugriff ge- 
nehmigt werden soli, von dem Richtlinien-Server verarbei- 
tet. Diese Verarbeitung umfaBt zwei Stufen: (1) Beglaubi- 
gung des Benutzers; und (2) Genehmigung zum Zugriff auf 
die angeforderte Softwareanwendung. Der Richtlinien-Ser- 
ver beglaubigt das Kennwort, indem er Bezug auf eine Ge- 
meinschaftsverwaltungsdatenbank nimmt, auf die elektro- 
nisch zugegriffen werden kann. Der Richtlinien-Server ge- 
winnt ferner Sicherheitsinformationen aus der Gemein- 
schaftsverwaltungsdatenbank wieder, die von dem Sicher- 
hcits-Scrvcr zur Beglaubigung des fur die Sicherheitsfrei- 
gabe mit zwei Faktoren erforderlichen Sicherheitscodes ver- 
wendet werden. Falls das Kennwort und der Sichcrhcitscodc 
glaubwiirdig sind, fahrt der RichtHnicn-Scrvcr daraufhin ba- 
sierend auf Benutzer-, Standort-, System- und Vertragsinfor- 
mationen sowie andcrcn Tnformationcn und Geschaftsregeln 
(d. h. Gemeinschaftsdefinitionen) in der Gemeinschaftsver- 
waitungsdatenbank fort, zu bestimmen, ob der Zugriff ge- 
nehmigt werden soli. Die Geschaftsregeln wenden gewisse 
Kriterien an, um zu bestimmen, ob die spezielle Gemein- 
schaft, der der Benutzer angehort, zum Zugriff auf die ange- 
forderten geschutzten Softwareanwendungen befugt ist. 

In Fallen, in denen eine Sicherheitsfreigabe mit zwei Fak- 
toren erforderlich ist, gewinnt der Richtlinien-Server, falls 
der Benutzername und das Kennwort glaubwiirdig sind, 
eine Keimzahl und eine Zahlenerzeugungsanfangszeit aus 
der Datenbank wieder und ubertragt sie zu dem Sicherheits- 
Server. Der Sicherheits-Server berechnet daraufhin unter 
Verwendung der Zahlenerzeugungsanfangszeit und des glei- 
chen Zufallszahlenerzeugungsalgorithmus, wie er von der 
Zufallszahlenerzeugungseinrichtung des Benutzers eines 
entfernten Systems verwendet wird, eine Sicherheitszahl 
aus der Keimzahl. Falls die von dem Benutzer eingegebene 
Sicherheitszahl sich in einem vorbestimmten Bereich der 
von dem Sicherheits-Server erzeugten Sicherheitszahl be- 
findet, ubertragt der Sicherheits-Server ein Signal zu dem 
Richtlinien-Server, das angibt, da£ die Sicherheitszahl 
glaubwiirdig ist. Falls eine Sicherheitsfreigabe mit zwei 
Faktoren erforderlich ist, beglaubigt somit der Richtlinien- 
Server das geheime Kennwort, wahrend der SicherheiLs- 
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Server den Sicherheitscode beglaubigt Fur Falle, in denen 
eine Sicherheitsfreigabe mit einem Faktor erforderlich ist, 
beglaubigt der Richtlinien-Server das Kennwort ohne eine 
Bezugnahme auf den Sicherheits-Server. 

Im AnschiuB an die Beglaubigung bestimmt der Richtli- 5 
nien-Server daraufhin, ob der Benutzer Mitglied einer Ge- 
meinscbaft von Benutzem ist, die dazu befugt ist, auf die an- 
geforderte Sofrwareanwendung zuzugreifen. Zur Ausfuh- 
rung dieser Bestimmung muB der Richtlinien-Server wieder 
Informationen aus der Gemeinschaftsverwaltungsdatenbank JO 
wie bei spiels weise Benutzerstatusinformationen, Standort- 
informationen, Systeminformationen, Vetiagsinformationen 
und Geschaftsregeln wiedergewinnen. Wenn der Benutzer 
nicht Mitglied einer Gemeinschafl mit Zugriffsrechten ist, 
dann wird dem Benutzer der Zugriff auf die angeforderte 15 
Software anwendung verweigert. Alternativ wird der Zugriff 
gesiattel, falls der anfordemde Benutzer eines enlfemlen Sy- 
stems Mitglied einer Gemeinschaft mit Zugriffsrechten fur 
die angeforderte Softwareanwendung ist. 

Es zeigen: 20 
Fig. 1 eine scheinalische Darslellung einer Reihe von me- 
dizinischen DiagnosesysLemen, die uber eine Netzverbin- 
dung zur Bereitstellung eines zentralisierten Dienstes und 
eines Datenaustauschs zwischen den Diagnosesystemen und 
der Dienstanlage mit einer Dienstanlage gekoppelt sind; 25 

Fig. 2 ein Blockschaltbild der in Fig. 1 gezeigten Sy- 
steme, das gewisse funktionelle Komponenten der Diagno- 
sesysteme und der Dienstanlage veranschaulicht; 

Fig. 3 ein Blockschaltbild, das die funktionellen Kompo- 
nenten einer zur Verwendung bei einem entfemten System 30 
geeigneten einheitlichen Dienstplattform zeigt; 

Fig. 4 ein Blockschaltbild, das Teile eines Gemein- 
schaftsverwaltungssystems gemaB dem bevorzugten Aus- 
fiihrungsbeispiel der Erfindung zeigt; 

Fig. 5 ein Blockschaltbild, das Teile eines Systems zur 35 
Gemeinschaft sverwaltung eines Femzugriffs mit einer Si- 
cherheitsfreigabe gemaB dem bevorzugten Ausfuhrungsbei- 
spiel der Erfindung zeigt; 

Fig. 6 cin FluBdiagramm, das den sichcrcn Gcmcin- 
schaftsverwaltungsprozeB gemaB dem bevorzugten Ausfuh- 40 
rungshcispicl der Erfindung allgcmcin darstcllt; und 

Fig. 7 cin Blockschaltbild, das cin Hyhridsystcm zeigt, 
das das bevorzugtc Ausfuhrungsbci spiel der Erfindung mit 
dem in Fig. 1 und 2 dargcstclltcn bekannten System kombi- 
niert. 45 

Die nachstehende ausfuhrliche Beschreibung des bevor- 
zugten Ausfuhrungsbeispiels der Erfindung ist in dem Zu- 
sammenhang einer zentralen Anlage zum Vornehmen von 
Diensten bei einer Vielzahl von entfernt angeordneten medi- 
zinischen Diagnosesystemen und Workstations uber ein 50 
Netz dargestellt. Es sollte jedoch erkannt werden, daB die 
Erfindung bei jedem System Anwendung findet, bei dem 
entfernte Systeme lizenzierte Software und/oder Daten- 
bankdateien verwenden und fiber ein Netz mit einer zentra- 
len Anlage verbunden sind. 55 

Auf Fig. 1 Bezug nehmend ist ein Dienstsystem 10 ge- 
maB dem Stand der Technik zur Bereitstellung eines zentra- 
lisierten Dienstes fur eine Vielzahl von entfemt angeordne- 
ten medizinischen Diagnosesystemen 12 veranschaulicht. 
Bei dem in Fig. 1 gezeigten Ausfuhrungsbeispiel umfassen GO 
die medizinischen Diagnosesysteme ein Kemspintomogra- 
phiesystem (MRI-System) 14, ein Computertomographiesy- 
stem (Cl-System) 16 und ein Ultraschallabbildungssystem 
18. Die Diagnosesysteme konnen bei einem einzigen Ort 
oder einer einzigen Anlage wie beispielsweise einer medizi- 65 
nischen Anlage 20 positioniert sein oder konnen voneinan- 
der entfernt sein, wie es in dem Fall des Ultrasch alls y stems 
18 gezeigt ist. Die Diagnosesysteme werden von einer zen- 



tralisierten Dienstanlage 22 mit Diensten versehen. Ferner 
kann eine Vielzahl von AuBendiensteinheiten (FE) 24 zur 
Ubertragung von Dienstanforderungen, Verifikation des 
Dienststatus, Ubertragung von Dienstdaten usw. mit dem 
Dienstsystem gekoppelt sein, wie es nachstehend ausfuhrli- 
cher beschrieben ist. 

Abhangig von der Modalitat der Systeme sind verschie- 
dene Sub komponenten oder Subsysteme en thai ten. Im Falle 
des MRl-Sy stems 14 umfassen derartige Systeme im allge- 
meinen eine Abtasteinrichtung 26 zur Erzeugung gepulster 
Magnetfelder und zur Sammlung von Signalen von Emis- 
sionen durch gyromagnetisches Material in einem Objekt 
von Interesse. Die Abtasteinrichtung ist mit einer Steuer- 
und Signalerfassungsschaltung 28 gekoppelt, die ihrerseits 
mit einer Systemsteuereinrichtung 30 gekoppelt ist. Die Sy- 
stemsteuereinrichtung 30 umfaBt eine einheitliche Plattform 
zum interakiiven Auslausch von DiensUmforderungen, 
Nachrichten und Daten mit der Dienstanlage 22, wie es 
nachstehend ausfuhrlicher beschrieben isL Die Systemsteu- 
ereinrichtung 30 ist mit einem Kommunikationsmodul 32 
verbunden, das in einer einzigen oder gelrennlen physisehen 
Baueinheil von der Systemsteuereinrichtung 30 enthalten 
sein kann. Die Systemsteuereinrichtung 30 ist auch mit einer 
Bedienungspersonstation 34 verbunden, die typischerweise 
einen Computermonitor 36, eine Tastatur 38 sowie andere 
Eingabevorrichtungen 40 wie beispielsweise eine Maus um- 
fafit. Bei einem typischen System konnen zusatzliche Kom- 
ponenten in dem System 14 enthalten sein wie beispiels- 
weise ein Drucker oder ein fotografisches System zur Erzeu- 
gung rekonstruierter Bilder basierend auf von der Abtastein- 
richtung 14 gesammelten Daten. 

Ahnlich umfaBt das CT-System 16 typischerweise eine 
Abtasteinrichtung, die Teile von durch ein Objekt von Inter- 
esse gerichteter RSntgenstrahlung erfaBt. Die Abtasteinrich- 
tung 42 ist mit einer Erzeugungs- und Steuereinrichtung so- 
wie mit einer Signalerfassungseinheit zur Steuerung des Be- 
triebs einer Rontgenquelle und eines Portals in der Abta- 
steinrichtung 42 und zum Empfangen von durch eine in der 
Abtasteinrichtung hewegbarc rcgclmaBigc Anordnung von 
Detektoren erzeugten Signalen gekoppelt, die bei dem Be- 
zugszcichen 44 zusammcngcfaBt dargestellt sind. Die 
Schaltungcn in den Stcucr- und Signal crfassungskomponcn- 
tcn sind mit einer Systemsteuereinrichtung 46 gekoppelt, 
die wie die vorstchend angefuhrte Steuereinrichtung 30 
Schaltungen zur Befehligung des Betriebs der Abtastein- 
richtung sowie zur Verarbeitung und Rekonstruktion von 
Bilddaten basierend auf den erfaBten Signalen umfaBt. Die 
Systemsteuereinrichtung 46 ist mit einem im allgemeinen 
dem Kommunikationsmodul 32 des MRI-Systems 14 ah- 
nelnden Kommunikationsmodul 48 zum Senden und Emp- 
fangen von Daten fur einen zentralen Dienst bei dem System 
16 verbunden. Die Systenisteuereinrichtung 46 ist auch mit 
einer Bedienungspersonstation 50 gekoppelt, die einen 
Computermonitor 52, eine Tastatur 54 sowie andere Einga- 
bevorrichtungen 56 wie beispielsweise eine Maus umfaBt. 
Femer umfaBt das CT-System 16 wie das MRI-System 14 
im allgemeinen einen Drucker oder eine ahnliche Vorrich- 
tung zur Ausgabe rekonstruierter Bilder basierend auf von 
der Abtasteinrichtung 42 gesammelten Daten. 

Vorrichtungen anderer Modalitat umfassen Schaltungen 
und Hardware, die zur Erfassung oder Erzeugung von Si- 
gnalen gemaB ihrem speziellen Entwurf besonders konfigu- 
riert sind, Insbesondere umfaBt das Ultraschallabbildungs- 
system 18 im allgemeinen eine Abtasteinrichtungs- und Da- 
tenverarbeitungseinheit 58 zur Ubertragung von Ultra- 
schallsignalen in ein Objekt von Interesse und zur Erfassung 
sich ergebender Signale, die zur Rekonstruktion eines ver- 
wendbaren Bilds verarbeitei werden. Das System umfaBt 
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eine Systemsteiiereinrichtung 60, die den Betrieb der Abta- 
steinrichtung 58 reguliert und erfaflte Signale zur Rekon- 
struktion des Bilds verarbeitet. Ferner umfafit das System 18 
ein Kommunikationsmodul 62 zur Obertragung von Dienst- 
anforderungen, Nachrichten und Daten zwischen der Sy- 5 
stemsteueteinrichtung 60 und der Dienstanlage 22. Das Sy- 
stem 18 umfaBt auch eine Bedienungspersonstation 64 ein- 
schlieBlich eines Monitors 66 sowie Eingabevorrichtungen 
wie beispielsweise einer Tastatur 68. 

Wenn mehr ais ein medizinisches Diagnosesystem bei ei- 10 
ner einzelnen Anlage oder einem einzelnen Ort bereitge- 
stellt ist, wie es in dem Fall des MRI-Systems und des CT- 
Systems 14 und 16 in Fig. 1 angegeben ist, konnen diese mit 
einer Verwaltungsstation 70 gekoppelt sein wie beispiels- 
weise bei einer Radiologieabteilung eines Krankenhauses 15 
oder einer Klinik. Die Verwaltungsstation kann mit Steuer- 
einrichtungen fiir die verschiedenen Diagnosesysteme wie 
beispielsweise den Steuereinrichtungen 30 und 46 bei dem 
veranschaulichten Beispiel direkt verbunden sein. Das Ver- 
waltungssystem kann eine Computer-Workstation oder ei- 20 
nen Personal-Computer (WS) 72 umfassen, die mil den Sy- 
stemsteuereinrichtungen in einer InLrdnelkonfiguralion, in 
einer Konfiguradon mit gemeinsamer Dateinutzung, in einer 
Client/Server-Anordnung oder in einer anderen geeigneten 
Anordnung gekoppelt sind. Die Verwaltungsstation 70 urn- 25 
faBt typischerweise einen Monitor 74 zur Betrachtung von 
Systembetriebsparametern, zur Analyse der Systemnutzung 
und zum Austausch von Dienstanforderungen und Daten 
zwischen der entfernten Anlage 20 und der zentralen 
Dienstanlage 22. Eingabevorrichtungen wie beispielsweise 30 
eine Standardcomputertastatur 76 und -maus 78 konnen zur 
Erleichterung bzw. Vereinfachung der Benutzerschnittstelle 
ebenfalls bereitgestellt sein. Es ist zu beachten, daB altema- 
tiv das Verwaltungssystem oder andere Diagnosesystem- 
komponenten dezentral, d. h. nicht direkt mit einem Diagno- 35 
sesystem gekoppelt sein kdnnen. In derartigen Fallen kon- 
nen nichtsdestoweniger die beschriebene Dienstplattform 
und ein Teil der Dienstfunktionalitat oder die gesamte 
Dicnstfunktionalitat bei dem Verwaltungssystem bereitge- 
stellt sein. Ahnlich kann bei gewissen Anwendungen ein 40 
Diagnosesystem aus einem dezentral en oder vcrnctztcn 
Bildarchivicrungskommunikations- und -wiedcrgewin- 
nungssystcm oder einer Bctrachtungsstation bestchen, die 
mit einem Teil dcrbcschricbcncn Funktionalitat oder der gc- 
samten beschriebenen Funktionalitat versehen sind. 45 

Die vorstehend angefuhrten Komrnunikationsmodule so- 
wie die Workstation 72 und die Aufiendiensteinheiten 24 
konnen iiber ein Fernzugriffsnetz 80 mit der Dienstanlage 
22 verbunden sein. Zu diesem Zweck kann jede geeignete 
Netzverbindung verwendet werden. Die bevorzugten Netz- 50 
kontigurationen umfassen sowohl proprietare oder dedi- 
zierte Netze als auch offene Netze wie beispielsweise das 
Internet Daten konnen zwischen den Diagnosesystemen, 
den Aufiendiensteinheiten 24 und der zentralen Dienstan- 
lage 22 in jedem geeigneten Format ausgetauscht werden 55 
wie beispielweise gemafi dem Internetprotokoil bzw. Inter- 
net Protocol (IP), dem Obertragungssteuerprotokoli bzw. 
Transmission Control Protocol (TCP) oder anderen bekann- 
ten Protokollen. Ferner konnen gewisse Daten der Daten 
iiber Dokumentauszeichnungssprachen bzw. Markup-Spra- CO 
chen wie beispielsweise die Hypertext-Dokumentauszeich- 
nungssprache bzw. Hypertext Markup Language (HTML) 
oder andere Standardsprachen iibertragen oder formatiert 
werden. Die bevorzugten Schnittstellenstrukturen und Kom- 
munikationskomponenten sind nachstehend ausfuhrlicher 65 
beschrieben. 

In der Dienstanlage 22 werden Nachrichten, Dienstanfor- 
derungen und Daten von Koiimiunikalionskomponenlen 



empfangen, wie sie allgemein bei einem Bezugszeichen 82 
angegeben sind. Die Komponenten 82 iibertragen die 
Dienstdaten zu einem Dienstzentrumsverarbeitungssystem 
(PS), das allgemein bei einem Bezugszeichen 84 in Fig. 1 
dargesteilt ist. Das Verarbeimnessystem verwaltet den Emp- 
fang, die Ilandhabung und die Ubertragung von Dienstdaten 
zu und von der Dienstanlage. Im allgemeinen kann das Ver- 
arbeitungssystem 84 einen Computer oder eine Vielzahl von 
Computern sowie dedizierte Hardware- oder Software-Ser- 
ver zur Verarbeitung der verschiedenen Dienstanforderun- 
gen und zum Empfangen und Senden der Dienstdaten um- 
fassen, wie es nachstehend ausfuhrlicher beschrieben ist. 
Die Dienstanlage 22 umfaBt auch eine Reihe von Bedie- 
nungsperson- Workstations (W) 86, die mit Kundendienst- 
technikern besetzt sein konnen, die sich mit den Dienstan- 
forderungen befassen und einen Offline- und Online-Dienst 
fur die Diagnosesysteme im Ansprechen auf die Dienstan- 
forderungen bereitstellen. Ferner kann das Verarbeitungssy- 
stem 84 mil einem System von Datenbanken oder anderen 
Verarbeilungssyslemen (DB) 88 bei der Dienstanlage 22 
oder entfemt von der Dienstanlage 22 verbunden sein. Der- 
arrige Datenbanken und Verarbeilungssysleiiie konnen um- 
fassende Datenbankinformationen liber Betriebsparameter, 
DienstverlSufe usw. sowohl fur spezielle teilnehmende Ab- 
tasteinrichtungen als auch fur ausgedehnte Bestande von 
Diagnoseausstattung umfassen. Wie es nachstehend be- 
schrieben ist, ktinnen derartige Datenbanken sowohl zum 
Vornehmen von Diensten bei speziellen Diagnosesystemen 
als auch zum Verfolgen eines derartigen Vornehmens von 
Diensten sowie zum Ableiten von Vergleichsdaten zur Ver- 
wendung bei einem Vornehmen von Diensten bei einem spe- 
ziellen System oder einer Systernfamilie verwendet werden. 

Fig. 2 zeigt ein Blockschaltbild, das die vorstehenden Sy- 
stemkomponenten in einer funktioneilen Ansicht veran- 
schaulicht. Wie es in Fig. 2 gezeigt ist, konnen die entfernt 
angeordneten Aufiendiensteinheiten 24 und Diagnosesy- 
steme 12 uber eine Netzverbindung, wie sie allgemein bei 
dem Bezugszeichen 80 veranschaulicht ist, mit der zentralen 
Dienstanlage 22 verbunden sein. Tn jedem Diagnosesystem 
12 ist eine einheitliche Dienstplattform 90 bereitgestellt. Die 
Plattform 90 umfaBt Hardware-, Firmware- und Softwarc- 
komponcntcn, die zum Hrzcugcn und Obcrtragcn von 
Dienstanforderungen und Dicnstaufgabcnlistcn, zum Sen- 
den und Empfangen von Dienstdaten, zum Hcrstcllcn von 
Netzverbindungen und zum Verwalten von Finanz- oder 
Teilnehmervereinbarungen zwischen dem Diagnosesystem 
und der Dienstanlage eingerichtet sind. Die Plattform 90 ist 
vorzugsweise in der Systemsteuereinrichtung des Diagnose- 
systems integriert. Diese Plattformen stellen eine einheitli- 
che grafische Benutzeroberflache bei jedem Diagnosesy- 
stem bereit, die an verschiedene Systemmodalitaten ange- 
paBt werden kann, urn eine Interaktion von Klinikern und 
Radiologen mit den verschiedenen Diagnosesystemen fur 
I^enstrunktionen zu ermoglichen. Die Plattformen ermogli- 
chen es dem Abtasteinrichmngskonstrukteur, sich direkt mit 
den Steuerschaltungen der einzelnen Abtasteinrichtungen 
sowie mit Speichervorrichtungen bei den Abtasteinrichtun- 
gen in Verbindung zu setzen, um auf Bilddateien, ProtokoU- 
dateien und ahnliche Dateien zuzugreifen, die zur Ausfuh- 
rung angeforderter oder abonnierter Dienste erforderlich 
sind. Wenn eine Verwaltungsstation 70 bereitgestellt ist, 
wird vorzugsweise eine ahnliche einheitliche Plattform auf 
die Verwaltungsstation geladen, um eine direkte Verbindung 
zwischen der Verwaltungsstation und der Dienstanlage zu 
ermoglichen. Zusatzlich zu der einheitlichen Dienstplatt- 
form 90 ist jedes Diagnosesystem vorzugsweise mit einem 
alternativen Kommunikationsmodul (F) 92 wie beispiels- 
weise einem Faksimileuberlragungsmodul zum Senden und 
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Empfangen von Faksimilenachrichten zwischen der eotfemt 
angeoidneten Abtasteinrichtung und der zentraien Dienstan- 
lage versehen. 

Zwischen den Diagnosesystemen und der Dienstanlage 
iibertragene Nachrichten und Daten gehen durcfa eine in 5 
dem Verarbeitungssystem 84 enthaitene Sicherheitsbarriere 
Oder "Firewall", wodurch ein nicht autorisierter Zugriff auf 
die Dienstanlage auf eine allgemein bekannte Art und Weise 
verhindert wird. Kin Modemgestell 96, das eine Reihe von 
Modems (M) 98 urnfaBt, empfangt die ankommenden Daten 1 0 
und sendet abgehende Daten durch einen Router 100, der 
den Datenverkehr zwischen den Modems und dem Dienst- 
zentrumsverarbeitungssystem 84 verwaltet. 

Wie es vorstehend angefuhrt ist, empfangt und verarbeitet 
das Verarbeitungssystem 84 die Dienstanforderungen und L5 
Daten und ist mit zusatzlichen Dienstkomponenten sowohl 
bei der Dienstanlage als auch enlfemt von der Anlage ver- 
bunden. Wie es in Fig. 2 gezeigt ist, sind Bedienungsperson- 
Workstations 86 sowie enlfemte DaLenbanken oder Compu- 
ter 88 mit dem Verarbeitungssystem gekoppelt. AuBerdein 20 
ist zuinindest eine lokale Dienstdatenbank 102 zur VeriGka- 
tion von Lizenz- und Vertragsvereinbarungen, zur Speiche- 
rung von Dienstaufzeichnungsdateien, Protokolldateien 
usw. bereitgestellt. Ferner sind ein Kommunikationsmodul 
oder mehrere Kommunikationsmodule 2104 zum Senden 25 
und Empfangen von Faksimiletibertragungen zwischen der 
Dienstanlage und den Diagnosesystemen oder AuBendienst- 
einheiten mit dem Verarbeitungssystem 84 verbunden. 

Fig. 3 zeigt die verschiedenen funktionellen Komponen- 
ten, die die einheitliche Dienstplattfonn 90 in jedem Dia- 30 
gnosesystem 12 umfaBt Diese einheitliche Dienstplattfonn 
kann bei dem bevorzugten AusfQhrungsbeispiel der Erfin- 
dung dazu verwendet werden, entfemten Systemen einen 
Zugriff auf Softwareanwendungen iiber ein Netz zu ermog- 
lichen. Die einheitliche Plattform ist als in einem Web-Ser- 35 
ver 3118 gespeicherte Software resident. Der Web-Server 
3118 ermoglicht einen Datenaustausch zwischen dem Dia- 
gnosesystem und der Dienstanlage und ermoglicht es, eine 
Rcihc von Wcb-Scitcn 3122 und 3124 iiber cincn Web- 
Browser 3120 zu betrachten. Vorzugsweise unterstutzen der 40 
Server 3118 und der Browser 3120 HTTP-Anwcndungcn, 
und der Browser untcrstutzt Java-Anwcndungcn. Bei der 
Haupt-Web-Seite 3122 handclt cs sich vorzugsweise urn 
cine Markup-Sprachcn-Scitc wic bei spiels weise cine fur den 
Systembenutzer auf einem Monitor bei dem Diagnosesy- 45 
stem angezeigte HTML-Seite. Auf die Haupt-Web-Seite 
3122 kann vorzugsweise von einer normalen Betriebsseite 
aus zugegriffen werden, bei der der Benutzer Untersu- 
chungsanforderungen konfiguriert, die Ergebnisse von Un- 
tersuchungen betrachtet usw., wie beispielsweise uber ein 50 
Symbol am Bildschirm. Durch die Haupt-Web-Seite 3122 
kann auf eine Reihe von zusatzlichen Web-Seiten (WP) 
3124 zugegriffen werden. Derartige Web-Seiten ermogii- 
chen es, Dienstanforderungen und Anforderungen zum Zu- 
griff auf Softwareanwendungen zu erzeugen sowie zu der 55 
zentraien Dienstanlage zu ubertragen, und ermoglichen den 
Austausch von anderen Nachrichten, Berichten, Software, 
Protokollen usw., wie es nachstehend ausfuhrlicher be- 
schrieben ist Der Web-Server 3118 kommuniziert uber ein 
Modem 3130 mit einem Netz. Ein Konnektivitatsdienstmo- GO 
dul 3126 sorgt fur die Verbindung mit dem Web-Server 
3118. Ein Punkt-zu-Punkt-Protokoll-Modul bzw. Point-to- 
Point-Protokoll-Modul (PPP-Modul) 3128 ist zur Ubertra- 
gung von Internet-Protocol-Paketen (IP-Paketen) uber Fern- 
kommunikationsverbindungen ebenfalls bereitgestellt. Wie 65 
es von Fachleuten zu erkennen ist, konnen zur Ermogli- 
chung eines Datenaustauschs iiber ein Netz verschiedene 
andere Netzprolokolle und Komponenien verwendet wer- 



den. 

Ein Gemeinschaftsverwaltungssystem kann in dem in 
Fig. 2 gezeigten Dienstzentrumsverarbeitungssystem ent- 
halten sein. Alternativ kann es sich bei dem offenbarten Ge- 
meinschaftsverwaltungssystem urn ein dezentrales System 
handeln. Die bevorzugten Ausfuhrungsbeispiele des Ge- 
meinschaftsverwaltungs systems sind in Fig. 4 und 5 allge- 
mein gezeigt Bei jedem Ausfuhrungsbeispiei umfaBt das 
System eine Vielzahl von verteilten Web-Servern 110, die 
iiber eine Firewall 138 mit zumindest einem Richtlinien- 
Server 114 kommunizieren. Jeder Web-Server 110 ist dazu 
programmiert, einen Zugriff auf eine Softwareanwendung 
oder mehrere Softwareanwendungen bereitzustellen, die 
sich bei dem Web-Server selbst befinden konnen oder bei je- 
weiligen Anwendungs- Server n befinden konnen, die mit 
dem Web-Server 110 verbunden sind. Die Web-Server kom- 
munizieren mittels Netzen mit entfemten Systemen. Die 
Softwareanwendungen konnen in dem Sinn geschutzt sein, 
daB sie eine Sicherheilsfreigabe zum Zugriff erfordern, oder 
in dem Sinn frei sein, daB sie fiir jeden oflenllich verffigbar 
sind, der mil dem NeLs verbunden ist. Wie es nachstehend 
ausfuhrlicher erlautert ist, fallen die geschulzlen Software- 
anwendungen bei dem bevorzugten Gemeinschaftsverwal- 
tungsschema in zwei Kategorien: (1) diejenigen, die zum 
Zugriff eine Sicherheitsfreigabe mit einem Faktor (z. B. ei- 
nem Kennwort) erfordem; und (2) diejenigen, die eine Si- 
cherheitsfreigabe mit zwei Faktoren (z. B. einem Kennwort 
und einer zufallig erzeugten Sicherheitscodezahl) erfordern. 
Fig. 4 soli einen Teil eines Gemeinschaftsverwaltungssy- 
stems zeigen, das ein Sicherheitsschema mit einem Faktor 
verwendet, wahrend Fig. 5 einen Teil eines Gemeinschafts- 
verwaltungssystems zeigen soli, das ein Sicherheitsschema 
mit zwei Faktoren verwendet. Fig. 5 unterscheidet sich 
darin von Fig. 4, daB sie zusStzlich einen Sicherheits-Server 
126 aufweist, der mit dem Richtlinien-Server 114 kommuni- 
ziert und der dazu programmiert ist, den zweiten Faktor des 
Sicherheitstests mit zwei Faktoren zu beglaubigen, wie es 
nachstehend ausfuhrlicher beschrieben ist. 

Die auf die Wcb-Scrvcr zugrcifenden entfemten Systcmc 
konnen medizinische Diagnosesysteme einschlieBlich Ab- 
bildungs- und Ubcrwachungssystcmcn umfasscn. Beispiels- 
weise zeigt Fig. 4 cincn Browser 104 einer Abbil dungs abta- 
steinrichtung und cincn Browser 106 eines Krankcnhausab- 
tcilungs-Pcrsonal -Computers, dicjewcils iiber cin Fcrnzu- 
griffsnetz 80 auf einen Web-Server 110 zugreifen konnen, 
sowie einen Browser 108, der iiber das Internet 81 auf einen 
Web-Server 110 zugreifen kann. Jeder Web-Server 110 ist 
mit einem Agenturmodul 112 zum Abfangen von Anforde- 
rungen zum Zugriff, zur Bestimmung, ob die angeforderte 
Software often oder geschutzt ist, und zur Kontaktierung ei- 
nes Richtlinien-Servers 114, falls die Software geschutzt ist, 
programmiert. Das Agenturmodul 112 stellt eine Schnitt- 
stelie zur Kommunikation zwischen dem Web-Server 110 
und dem Richtlinien-Server 114 bereit. 

Das bevorzugte Ausfuhrungsbeispiei umfaBt ferner eine 
Gemeinschafts verwaitungsdaten bank 116. Im allgemeinen 
enthalt die Datenbank 116 Daten eines entfemten Standorts, 
Vertrags- oder Teilnahmedaten, Kontakt- oder Benutzerda- 
ten und Geschaftsregeln (d. h. Gemeinschaftsdefinitionen). 
Der Ausdruck "Gemeinschaft", wie er dabei verwendet ist, 
bezieht sich auf eine Gruppe von Benutzem eines entfemten 
Systems mit einem speziellen Satz von Zugriff srechten. Der 
Ausdruck "Softwareanwendung", wie er dabei verwendet 
ist, soil Software jeder Art einschlieBlich Anwendungspro- 
grammierung, Konfigurationsdateien, Protokollen, Daten- 
dateien, Arbeitslisten, Dienstberichten, Diensthilfseinrich- 
tungen, Systemverlaufen, Systemleistungsdaten, proprieta- 
ren Informalionen iiber bei entfemten medizinischen Dia- 
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gnosesystemen verwendete Software, Reparaturverfahren, 
Geschaftsaufzeichnungen usw., jedoch nicht darauf be- 
schrankt, umfassen. Die in der Gemeinschaftsverwaltungs- 
datenbank 116 gespeicherten Geschaftsregeln stellen die 
Kriterien zur Bestimmung der Softwareanwendungen, fur 5 
die ein Mitglied einer spezieiien Gemeinschaft fiber Zu- 
griffsrechte verfugt, bereit Die Kontakt- oder Benutzerda- 
ten in der Datenbank 116 umfassen Benutzemamen, Kenn- 
worter, Sicherheitscodes, Keimzahlen, Zufallszahlenerzeu- 
gungsaktivierungszeiten, Benulzersteiienstatus oder -titei 10 
und andere Informationen. Die Vertragsdaten umfassen In- 
formation en iiber die Softwareanwendungen, fur die teil- 
nehmende Parteien entsprechend vorhandenen Vertragen 
zwischen entfernten Anlagen und der zentralen Dienstan- 
lage zum Zugriff berechtigt sind. Die Standortdaten umfas- 15 
sen Informationen, die die entfernten Standorte und die an 
den Standorten verwendete Ausstaltung idenlifizieren, ein- 
schlieBlich Seriennummern der Diagnose- und Abbildungs- 
gerale. 

Das bevorzugie Ausfuhrungsbeispiel der Erfindung urn- 20 
fafit Web-Server 110 zur Bereilstellung eines selekliven Zu- 
griffs auf Softwareanwendungen mit einer hohen Stufe des 
Schutzes, d. h. auf Softwareanwendungen, die eine Sicher- 
heitsfreigabe mit zwei Faktoren erfordern. Softwareanwen- 
dungen mit dieser hohen Sicherheitsstufe umfassen dienst- 25 
bezogene Software, die von einem AuBendiensttechniker 
zur Reparatur, zum Vornehmen von Diensten, zur Aktuali- 
sierung oder zur Wartung bei einem entfernten Diagnosesy- 
stem verwendet wird, wie beispielsweise in Fig. 5 gezeigte 
Diensthiifseinrichtungen 128 und Dienstaufzeichnungen 30 
130. Beispielsweise kann einem von der zentralen Dienstan- 
lage beschaftigten AuBendiensttechniker eine Sicherheits- 
freigabe mit zwei Faktoren erteilt werden, die einen Fernzu- 
griff z. B. iiber den Browser 104 einer entfernten Abbil- 
dungsabtasteinrichtung und iiber ein Netz auf Softwarean- 35 
wendungen ermoglicht, die zum Vornehmen von Diensten 
bei der Abbildungsabtasteinrichtung benotigt werden. Bei 
dem ersten Faktor handeit es sich um den gleichen Faktor, 
der bei der Sicherheitsfreigabe mit einem Faktor verwendet 
wird, und er wird durch den Richtlinien-Server 114 beglau- 40 
bigt. GcmaB dem in Fig. 5 gezeigten bevorzugten Ausfuh- 
rungsbeispiel ist ein SichcrhciLs-Scrvcr 126 dazu program- 
micrt, den zweiten Faktor der Sicherheitsfreigabe mit zwei 
Faktoren untcr der Vcrwaltung des Richtlinicn-Scrvcrs 114 
zu beglaubigen. 45 

Das bevorzugte Verfahren zur Verarbeitung von Sicher- 
heitsfreigaben ist in Fig, 6 gezeigt Jedes entfernte System 
ist mit einer Benutzerschnittstelle der in Fig. 3 gezeigten Art 
zum Zugriff auf einen Web-Server U0 iiber ein Netz 80 wie 
beispielsweise ein Intranet programmiert. Bei einer der 50 
Web-Seiten 3124 kann es sich um eine Anwendungs-Web- 
Seite handeln, die eine Vielzahl von virtuellen Anwen- 
dungsauswahlknopfen zur Auswahl einer Softwareanwen- 
dung aus einer vielzahl von dienstbezogenen (offenen oder 
geschiitzten) Softwareanwendungen, auf die aus der Entfer- 55 
nung zugegriffen werden kann und die sich bei den Web- 
Servern 110 befinden, anzeigt. Aus Griinden der Erorterung 
wird angenommen, daB die sich bei in Fig. 4 gezeigten Web- 
Servem 110 befindenden geschiitzten Softwareanwendun- 
gen eine Sicherheitsfreigabe mit einem Faktor zum Zugriff 60 
erfordern. Demgegenuber erfordert zumindest eine der sich 
bei einem in Fig. 5 gezeigten Web-Server 110 befindenden 
geschiitzten Softwareanwendungen eine Sicherheitsfreigabe 
mit zwei Faktoren zum Zugriff, wodurch das Vorhandensein 
des Sicherheits-Servers 126 erforderlich ist. Es ist ferner 65 
selbstverstandlich, daB einige Softwareanwendungen often 
und nicht geschiitzt sein konnen. Die Erfindung ist jedoch 
hauplsachlich auf die Handhabung eines Femzugriffs auf 
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geschutzte Softwareanwendungen gerichtet. 

Im Ansprechen auf eine Auswahl einer geschiitzten Soft- 
wareanwendung auf dem Web-Browser-Bildschirm durch 
den Systembenutzer iibertragt der Web-Server 3118 bei dem 
entfernten System fiber in Fig. 3 gezeigte Bldcke 3126, 3128 
und 3130 eine Anforderung zum Zugriff auf die ausge- 
wahlte Softwareanwendung zu dem Netz (Schritt 160 in 
Fig. 6). Vorzugsweise ist die URL-Adresse des Web-Servers 
110, bei dem sich die ausgewahlte Softwareanwendung be- 
findet, fest in das entfernte System codiert, wobei die URL- 
Adresse vor der Verbindung mit dem Netz automatisch der 
Anforderung zum Zugriff beigefugt wird. 

Die Anforderung zum Zugriff von dem entfernten System 
zu dem adressierten Web-Server 110 wird unmittelbar durch 
das Agenturmodul 112 des Web-Servers abgefangen, das 
zuerst bestimmt, ob sich die Anforderung zum Zugriff auf 
eine offene oder eine geschutzte Softwareanwendung be- 
zieht. Wenn die Softwareanwendung offen ist, d. h. ohne 
eine Sicherheitsfreigabe verfugbar, dann weist das Agentur- 
modul den Web-Server so an, und die Anwendung wird dem 
enlfemlen System zugeslellt. Fig. 6 sLellt den ProzeB zur 
Genehinigung von Anforderungen zum Zugriff auf ge- 
schutzte Software dar. 

Falls die angeforderte Softwareanwendung eine Sicher- 
heitsfreigabe erfordert, bestimmt das Agenturmodul darauf- 
hin, ob der anfordernde Benutzer eines entfernten Systems 
bereits beglaubigt wurde (Schritt 162 in Fig. 6), d. h. sich 
bereits angemeldet hat. Wenn der Benutzer bereits angemel- 
det ist, dann wird der Beglaubigungsschritt iibersprungen, 
und der Richtlinien-Server bestimmt unmittelbar, ob der an- 
geforderte Zugriff genehmigt ist (Schritt 168). Falls der an- 
fordernde Benutzer des entfernten Systems nicht bereits an- 
gemeldet ist, ladt der adressierte Web-Server ein Fenster zu 
dem entfernten Web-Browser herunter, das Felder zur Ein- 
gabe des Namens, des Kenn worts und des Sicherheitscodes 
des Benutzers aufweist. Der Benutzer des entfernten Sy- 
stems gibt daraufhin die Benutzeridentifizierungsinforma- 
tionen ein, die von dem Richtlinien-Server benotigt werden 
(Schritt 164). In dem Fall eines Benutzers mit einer Sicher- 
heitsfreigabe mit einem Faktor gibt der Benutzer vorzugs- 
weise cincn Benutzemamen und ein Kenn wort ein; in dem 
Fall eines Benutzers mit einer Sicherheitsfreigabe mit zwei 
Faktoren gibt der Benutzer vorzugsweise cincn Benutzema- 
men, ein Kenn wort und cincn von einer im Bcsitz des Be- 
nutzers befindlichen Zufallszahlenerzeugungseinrichtung 
erzeugten Sicherheitscode ein. Der Web-Server 3118 bei 
dem entfernten System (sieheFig. 3) iibertragt daraufhin die 
eingegebenen Benutzerinformationen an den Web-Server 
110 (siehe Fig. 4 und 5) adressiert, bei dem sich die angefor- 
derte Softwareanwendung befindet, auf das Netz. Die iiber- 
tragenen Benutzerinformationen werden von dem Agentur- 
modul 112 abgefangen und zusammen mit einem die ge- 
schutzte Softwareanwendung, auf die sich die Anforderung 
zum Zugriff bezieht, identifizierenden Code zu dem Richtli- 
nien-Server 114 weitergeleitet. 

Im dem Fall der Sicherheitsfreigaben mit einem Faktor 
beglaubigt der Richtlinien-Server das Kennwort (Schritt 
166) unter Bezugnahme auf eine Benutzerdatenbank 124, 
die einen Teil der Gemeinschaftsverwaltungsdatenbank bil- 
det. Bei dem einfachsten Ausfuhrungsbeispiel speichert die 
Benutzerdatenbank ein Kennwort in Verbindung mit jedem 
Benutzemamen, und der Richtlinien-Server gewinnt ledig- 
lich das Kennwort wieder und vergleicht es mit dem von 
dem Agenturmodul, bei dem sich die angeforderte Software 
befindet, empfangenen Kennwort. Falls das Kennwort nicht 
glaubwiirdig ist, iibertragt der adressierte Web-Server eine 
Fehlermeldung zu dem entfernten System. Wenn der Benut- 
zercode glaubwiirdig ist, dann muB der RichLlinien-Server 
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als nachstes bestimmen, ob der angeforderte Zugriff geneh- 
migt ist (Schritt 168). In dcm Fail der Sicherheitsfxeigaben 
mit zwed Faktoren beglaubigt der Richtlinien-Server ein 
Kennwort, wahrend er die Beglaubigung eines zugeordne- 
ten Sicherheitscodes an den Sicherheits-Server deiegiert 5 
(Schritt 165). Wenn das Kennwort und der Sicherheitscode 
glaubwurdig sind, dann geht der Richtlinien-Server zu dem 
Genehmigungsstadinm (Schritt 168) uber. 

GemaB dem bevorzugten AusfUhrungsbeispiel der Erfin- 
dung ist der Richtlinien-Server dazu prograrnmiert, zu be- 10 
stimmen, ob der Benutzer eines entfemten Systems zum Zu- 
griff auf die geschiitzte Softwareanwendung befugt ist, in- 
dem er die nachstehenden Schritte ausfuhrt: Wiedergewin- 
nen von Genehmigungskriterien (d. h. Geschaftsregeln oder 
Gemeinschaftsdefinitionen 118) fur die geschiitzte Softwa- 15 
reanwendung aus der Gemeinschaftsverwaltungsdatenbank; 
Wiedergewinnen von Informalionen fur eine Variable oder 
mehrere Variablen (d. h. Benutzer-, Standort-, System- und 
Verlragsiiiforuialionen) aus der Gemeinschaftsverwallungs- 
dalenbank; und Beslimmen, ob die Variablen die Genehini- 20 
gungskriterien erfiillen. Der Richtlinien-Server 114 liest alle 
sachdienlichen Daten fur den idenlifizierten Benutzer des 
entfernten Systems aus der Gemeinschaftsverwaltungsda- 
tenbank aus und speichert die wiedergewonnenen Daten in 
einem internen Anmeldungshilfsspeicher bzw. Anmeldung- 25 
scache. Basierend auf den wahrend des Genehmigungs- 
schritts 168 wiedergewonnenen Kriterien und Variablenda- 
ten bestimmt der Richtlinien-Server 114, ob der anfordernde 
Benutzer des entfemten Systems uber Zugriffisrechte fur die 
angeforderte Softwareanwendung verfugt (Schritt 170). 30 

Wenn der anfordernde Benutzer eines entfernten Systems 
zum Zugriff auf die angeforderte geschiitzte Softwarean- 
wendung befugt ist, dann gibt der Richtlinien-Server eine 
Anweisung zu dem Agenturmodul aus, bei dem sich die ge- 
schiitzte Software befindet, um den Zugriff zu ermoglichen. 35 
Der zugeordnete Web-Server ladt daraufhin die geschiitzte 
Softwareanwendung zu dem entfernten System herunter, bei 
dem der anfordernde Benutzer angemeldet ist (Schritt 178). 
Als Folgc des Hcruntorladcns zcigt der Wcb-Scrvcr 3118 
(siehe Fig. 3) bei dem entfernten System die Eroffhungs- 40 
Wcb-Scitc der hcruntcrgcladcncn Softwareanwendung auf 
dcm Web-Browser 31 20 an . 

Optional umfaBt der in Fig. 6 gczcigtc Algorithmus cincn 
Schritt 174 der Bcstimmung, ob die Softwareanwendung 
vor der Zustellung personalisiert werden soil, z. B. durch 45 
eine Einfugung einer Wdlkommensnachricht, in der der Be- 
nutzer mit seinem Namen angeredet wird. Personalisie- 
rungsdienste werden von dem Web-Server 110 (siehe Fig. 4) 
in einem Schritt 176 ausgefuhrt. Daraufhin wird die perso- 
nalisierte Anwendung in dem Schritt 178 dem entfernten 50 
Standort zugestellt. 

Der Richtlinien-Server ist ferner dazu programmiert, das 
Agenturmodul des Web-Servers, bei dem sich die angefor- 
derte Software befindet, zur Abiehnung des Zugriffs anzu- 
weisen, falls der Benutzer eines entfernten Systems Mit- 55 
glied einer Gemeinschaft ist, die nicht zum Zugriff auf die 
geschiitzte Software befugt ist. Optional ist der Web-Server, 
bei dem sich die geschiitzte Software befindet, dazu pro- 
grammiert, dem entfemten System im Ansprechen auf eine 
Abiehnung des Zugriffs durch den Richtlinien-Server eine 60 
alle Softwareanwendungen, fur die der anfordernde Benut- 
zer des entfernten Systems uber Zugriffsrechte verfugt, 
identifizierende Liste zuzustellen (Schritt 172). 

GemaB einem bevorzugten Ausfuhrungsbeispiel wird der 
Schritt 162 (siehe Fig. 6) der Bestimmung, daB der Benut- 65 
zercode bereits beglaubigt ist, d. h. daB der Benutzer eines 
entfernten Systems sich bereits erfolgreich angemeldet hat, 
wie folgt ausgefuhrt. Der Web-Browser bei jedem entfern- 



ten System und das Agenturmodul bei jedem Anwendungs- 
Web-Server umfassen einen Anmeldungscache zur Speiche- 
rung der Benutzereingaben (z. B. Benutzemame, Kennwort 
und Sicherheitscode) und einer zugeordneten Glaubwurdig- 
keitskennzeichnung, die nach einer Beglaubigung durch den 
Richtlinien-Server erzeugt wird. Die Operationssequenz 
stellt sich wie folgt dan (1) der Benutzer des entfemten Sy- 
stems ubertragt eine Anforderung zum Zugriff zu einem er- 
sten Web-Server. (2) Der erste Web-Server ladt daraufhin 
eine Web-Seite herunter, die den Benutzer des entfemten 
Systems zur Anmeldung auffordert (3) Der Benutzer des 
entfemten Systems gibt daraufhin einen Benutzernamen und 
ein Kennwort (Sicherheitsfreigabe mit einem Faktor) oder 
einen Benutzernamen, ein Kennwort und einen Sicherheits- 
code (Sicherheitsfreigabe mit zwei Faktoren) uber die Be- 
nutzerschnittstelle ein und iibertragt die eingegebenen Daten 
zu dem ersten Web-Server, wobei die Benulzerinformalio- 
nen automatisch in einem Anmeldungscache des Web- 
Browsers gespeichert werden. (4) Der Agent des ersten 
Web-Servers fangt die eingegebenen Benulzerinformalio- 
nen ab und ubertragt sie zu dem Richtlinien-Server. (5) Falls 
die Benutzerinfonnationen glaubwurdig sind, fiigl der 
Richtlinien-Server eine Glaubwtirdigkeitskennzeichnung 
bei, speichert die Benutzerinformationen und die Glaub wur- 
digkeitskennzeichnung in seinem Anmeldungscache und 
Ubertragt die gleichen Daten zuriick zu dem Agenten des er- 
sten Web-Servers. (6) Die gleichen Daten werden daraufhin 
in dem Anmeldungscache des Agenturmoduls gespeichert 
und zuriick zu dem entfernten System ubertragen, wobei die 
Benutzerinformationen und die Glaubwurdigkeitskenn- 
zeichnung in dem Anmeldungscache des Web-Browsers ge- 
speichert werden. (7) Wenn der Benutzer des entfemten Sy- 
stems nachfolgend eine Anforderung zum Zugriff auf einen 
zweiten Web-Server iibertragt, werden die in dem Anmel- 
dungscache des Web-Browsers gespeicherten Benutzerin- 
formationen und die in dem Anmeldungscache des Web- 
Browsers gespeicherte Glaubwurdigkeitskennzeichnung au- 
tomatisch zu dem zweiten Web-Server ubertragen. (8) Der 
Agent des zweiten Wcb-Scrvcrs gibt daraufhin die cmpfan- 
genen Benutzerinformationen und die empfangene Glaub- 
wurdigkeitskennzeichnung an den Richtlinicn-Scrvcr wci- 
tcr. (9) Wenn die von dcm zweiten Wcb-Scrvcr ubcrtragenen 
Bcnutzcrinforrnationcn und die von dcm zweiten Wcb-Scr- 
vcr ubcrtragene Glaubwurdigkeitskennzeichnung zu den in 
dem Anmeldungscache des Richtlinienservers gespeicher- 
ten Benutzerinformationen und der in dem Anmeldungsca- 
che des Richtlinien-Servers gespeicherten Glaubwurdig- 
keitskennzeichnung passen, dann ubertragt der Richtlinien- 
Server ein Signal zu dem zweiten Web-Server; das angibt, 
daB der Benutzercode gmubwiirdig ist. Somit weiB der 
zweite Web-Server, daB er den Schritt des Ilerunterladens 
der Anmeldungs-Web-Seite zu dem entfemten System uber- 
springen kann. Diese Operationen bewirken, daB es fur ei- 
nen mehrere Softwareanwendungen anfordemden Benutzer 
eines entfemten Systems nicht erforderlich ist, sich mehr- 
mals anzumelden. Statt dessen reicht eine einzelne Anmel- 
dung aus, ganz gleich wie viele Anfordemngen zum Zugriff 
auf Softwareanwendungen von einem angemeldeten ent- 
femten Benutzer veranlaBt werden. 

GemaB einer weiteren Ausgestaltung der Hrfindung erfor- 
dert ein Zugriff auf Softwareanwendungen mit einer hohen 
Stufe des Schutzes eine Sicherheitsfreigabe mit zwei Fakto- 
ren. Wie es vorstehend beschrieben ist, handelt es sich bei 
dem ersten Faktor um ein mit einem Benutzernamen ver- 
bundenes geheimes Kennwort. Bei dem zweiten Faktor han- 
delt es sich um eine zufallig erzeugte Zahl, die ein Benutzer 
eines entfernten Systems von einer tragbaren \forrichtung 
wie beispielsweise einer Uhrtasche (fob) liest, die er/sie 
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tragt. Die tragbare Vorrichtung enthalt eine Zufallszahlener- 
zeugungseinrichtung zur fortwahrenden Erzeugung von 
Zahlen gemaB einem gespeicherten Zufallszahlenerzeu- 
gungsalgorithmus und einen Bildschirm, derden derzeitigen 
Wert in der Sequenz von zufallig erzeugten Zahlen anzeigt. 5 
Die Zufallszahlenerzeugnngseinrichtung wird durch die 
zentrale Dienstanlage mit einer Keimzahl beginnend akti- 
viert, die von dem zentralen Dienstleister in die tragbare 
Vorrichtung eingegeben wird. Die Zeit der Zufallszahlener- 
zeugungsaktivierung wird daraufhin zusammen mit dem 10 
Benutzernamen, dem Kennwort, der Keimzahl und anderen 
Benutzerinformationen in der Benutzerdatenbank gespei- 
chert 

Basierend auf dem Vorhandensein eines Sicherheitscodes 
in den iiber das Agenturmodul 112 (siehe Fig. 5) von dem 15 
Benutzer eines entfernten Systems empfangenen Benutzer- 
infonnationen erkennl der Richtlinien-Server 114, dafi eine 
Sicherheitsfreigabe mit zwei Faktoren ausgefiihrt werden 
muB. Basierend auf dem BenuUemamen gewinnl der Richt- 
linien-Server 114 daraufhin die Benulzerinformalionen fur 20 
den Benutzer aus der Gemeinschallsverwaltungsdatenbank 
116 wieder. Der Richllinien-Server 114 vergleicht das einge- 
gebene Kennwort mit dem aus der Datenbank wiederge- 
wonnenen Kennwort. Falls sie zusammenpassen, Ubertragt 
der Richtlinien-Server daraufhin den von dem Benutzer ein- 25 
gegebenen Sicherheitscode sowie die aus der Datenbank 
wiedergewonnene Keimzahl und Aktivierungszeit fur die 
Zufallszahlenerzeugung zu dem Sicherheits-Server 126. Ba- 
sierend auf der von dem Richtlinien-Server empfangenen 
Aktivierungszeit und Keimzahl sowie dem in dem Sicher- 30 
heits-Seryer gespeicherten Zufallszahlenerzeugungsalgo- 
rithmus (bei dem es sich urn den gleichen Algorithmus wie 
den in der von dem Benutzer getragenen Zufallszahlener- 
zeugungseinrichtung enthaltenen Algorithmus handelt) er- 
zeugt der Sicherheits-Server eine Zufallszahl zur Verwen- 35 
dung als Bezugssicherheitscode. Der von dem Benutzer ein- 
gegebene Sicherheitscode wird beglaubigt, falls er in einem 
vorbestimmten Bereich des Bezugssicherheitscodes liegt. 
Der Sichcrhcits-Scrvcr benachrichtigt daraufhin den Richt- 
linien-Server von den Ergebnissen des Vergleichs. Falls der 40 
cingcgcbcnc Sicherheitscode glaubwurdig ist, gcht der 
Richtlinien-Server daraufhin zu dem Gcnchmigungsschritt 
iiher. Wcnn der Sicherheitscode nicht glaubwurdig ist, dann 
wcist der Richtlinien-Server das rclcvantc Agenturmodul 
zur Ablehnung des ZugrifFs auf die angeforderte Software- 45 
anwendung an. Das Agenturmodul kann daraufhin den Be- 
nutzer des entfernten Systems auffordern, erneut zu versu- 
chen, sich anzumelden. 

Fig. 7 veranschaulicht beispielhafte funktionelle Kompo- 
nenten fur eine die Erfindung enthaltende Dienstanlage 22. 50 
Wie es vorstehend angegeben ist, umfaBt die Dienstanlage 
22 ein Modemgestell 96 mit einer Vielzahl von Modems 98, 
die mit einem Router 100 zur Koordination von Dateniiber- 
tragungen mit der Dienstanlage gekoppelt sind. Ein soge- 
nannter HTIT-Dienst-Server 94 des "kundenbezogenen Be- 55 
reichs" ("front office") empfangt und lenkt ankommende 
und abgehende Obertragungen mit der Anlage. Vorzugs- 
weise sind die An wendungs- Web-Server ebenfalls vor der 
Firewall 138 angeordnet In Fig. 7 ist lediglich ein Anwen- 
dungs- Web-Server 110 mit einem Agenturmodul 112 ge- GO 
zeigt. Die Server 94 und 110 sind mit den anderen Kompo- 
nenten der Anlage durch die Firewall 138 fur die Systemsi- 
cherheit gekoppelt. Bedienungsperson- Workstations 86 sind 
mit der AnschluBverwaltungseinrichtung zur Handhabung 
von Dienstanforderungen und tJbertragung von Nachrichten 65 
und Berichten im Ansprechen auf derartige Anforderungen 
gekoppelt Eine automatisierte Diensteinheit 136 kann eben- 
falls in der Dienstanlage enthalten sein, um automatisch auf 
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gewisse Dienstanforderungen anzusprechen, teilnehmende 
Diagnosesysteme nach Betriebsparameterdaten abzutasten 
usw.. Bei einem bevorzugten Ausfuhrungsbeispiel kann die 
automatisierte Diensteinheit 136 unabhangig von oder in 
Verbindung mit den interaktiven Dienstkomponenten arbei- 
ten, die das Verarbeitungssystem 84 umfaBt. Es ist zu beach- 
ten, dafi andere Netz- oder Kommunikationsschemata be- 
reitgestellt sein konnen, um es der Dienstanlage zu ermogli- 
chen, Daten und Nachrichten mit Diagnosesystemen und 
zentralen Diensteinheiten wie beispielsweise Systemen ein- 
schlieBlich auBerer Internet-Dienstleister bzw. Internet-Ser- 
viceprovider und virtueller privater Netze zu iibertragen und 
auszutauschen. 

Hinter der Firewall 138 koordiniert ein sogenannter 
HTTP-Anwendungs-Server 140 der "technischen Abwick- 
lung" ("back office") die Handhabung von Dienstanforde- 
rungen, Nachrichlenubermililung, Berichterstattung, Sofl- 
wareubertragungen usw.. Andere Server konnen mit dem 
HTTP-Anwendungs-Server 140 gekoppelt sein wie bei- 
spielsweise Dienstanalyse-Server 142, die zur Befassung 
mit spezifischen Arten von Dienstanforderungen konfigu- 
riert sind. Bei dem in Fig, 7 gezeigten Ausfuhrungsbeispiel 
umfaBt das Verarbeitungssystem 84 auch einen Richtlinien- 
Server 114, einen Sicherheits-Server 126 und einen Lizenz- 
Server 144. Der Richtlinien-Server und der Lizenz-Server 
sind beide mit einer Richtlinien-ZLizenzdatenbank 146 ge- 
koppelt, die die vorstehend angefuhrte Gemeinsc hafts ver- 
waltungsdatenbank sowie eine Lizenzdatenbank umfaBt. 
Ein Lizenzmodul 144 ftihrt die Funktionen des Speicherns, 
Aktualisierens und Verifizierens des Status von Diagnosesy- 
stemdienstteilnahmen und -vertragen aus. Altemativ kann 
der Lizenz-Server 144 auBerhalb der Firewall 138 angeord- 
net sein, um den Teilnahmestatus vor dem Zugang zu der 
Dienstanlage zu verifizieren. Der Richtlinien-Server 114 
fuhrt die vorstehend unter Bezugnahme auf Fig. 4 bis 6 be- 
schriebenen Funktionen aus. Der Lizenz-Server 144 erzeugt 
Lizenzen, installiert die erzeugten Lizenzen iiber das Netz 
80 auf den entfernten Systemen 12 und protokolliert die Li- 
zenzen in die Richtlinicn-/Lizcnzdatcnbank 146. Der Li- 
zenz-Server 144 weist femer die Fahigkeit zur Entfemung 
oder Bccndung einer installicrtcn Lizcnz von einem entfern- 
ten System iiber das Netz auf. 

Die Handhabung von Dienstanforderungen, Nachrichten- 
iihcrmittlung und Bcrichtcrstatmng wird durch ein Schcdu- 
lermodui 148 koordiniert, das mit dem HTTP-Server 140 
gekoppelt ist. Das Schedulermodul 148 koordiniert Aktivi- 
taten anderer Server, die das Verarbeitungssystem umfaBt, 
wie beispielsweise eines Bericht-Servers 150, eines Nach- 
richten-Servers 152 und eines Softwareherunterlade-Servers 
154. Wie es von Fachleuten zu erkennen ist, sind die Server 
150, 152 und 154 mit (nicht gezeigten) Speichervorrichtun- 
gen zur Speicherung von Daten wie beispielsweise Aufga- 
benlisten, Adressen, Protokolldateien, Nachrichten- und Be- 
nch tdatei en, Anwendungssoftware usw. gekoppelt. Wie es 
in Fig. 7 veranschaulicht ist, ist insbesondere der Software- 
Server 154 iiber einen Datenkanal oder mehrere Datenka- 
nale mit einer Speichervorrichtung 156 zum Enthalten iiber- 
tragbarer Softwarepakete gekoppelt, die direkt zu den Dia- 
gnosesystemen iibertragen werden konnen, auf die von den 
Diagnosesystemen zugegriffen werden kann oder die auf 
der Grundlage einer Bezahlung pro Verwendung oder eines 
Kaufs geliefert werden konnen. Der Nachrichten- und der 
Bericht-Server 152 und 150 sind ferner zusammen mit dem 
Kommunikationsmodul 2104 mit einem Zustellungshand- 
habungsmodul (DEL) 158 gekoppelt, das zum Empfangen 
abgehender Nachrichten, zur Sicherstellung einer richtigen 
Konnektivitat mit Diagnosesystemen und zur Koordination 
derObertragung von Nachrichten zu den Diagnosesystemen 
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und der Ubertragung von Nachrichten und Aufgabenlisten 
zu entfemt befindlichen AuBenmensttechnikern iiber das 
Netz konfiguriert ist 

Bei cinem bevorzugten Ausfuhrungsbeispiel konnen die 
vorstehenden funktionellen Schaltungen als Hardware, 5 
Firmware oder Software auf jeder geeigneten Computer- 
plattform konfiguriert sein. Beispielsweise konnen die fiink- 
tionellen Schaltungen der Diagnosesysteme als geeigneter 
Code in einem Personal-Computer oder einer Workstation 
programmiert sein, die entweder vollstandig in der System- 10 
abtasteinrichtung enthalten sind oder zu der Systemabta- 
steinrichtung hinzugefugt sind. Die funktionellen Schaltun- 
gen der Dienstanlage konnen zusatzliche Personal- Compu- 
ter oder Workstations zusatzlich zu einem GroBrechner, in 
dem einer oder mehrere der Server, der Scheduler usw. kon- 15 
figuriert sind, umfassen. SchlieBlich konnen die AuBen- 
diensteinheiten Personal-Computer oder Laptop-CompuLer 
von jeder geeigneten Prozessorplattform umfassen. Es ist 
ferner zu beaehlen, daB die vorstehenden funktionellen 
Schaltungen zur Ausfuhrung der beschriebenen Funklionen 20 
auf vielfaltige Art und Weise angepaBt sein konnen. Allge- 
mein ermoglichen die funktionellen Schaltungen den Aus- 
tausch von Dienstdaten zwischen den Diagnosesystemen 
und einer zentralen Dienstanlage, der vorzugsweise auf eine 
interaktive Art und Weise realisiert ist, urn regelmaBige Ak- 25 
tualisierungen fiir die Diagnosesysteme hinsichtlich Dienst- 
aktivitaten bereitzustellen. 

Obwohl das offenbarte bevorzugte Ausfuhrungsbeispiel 
Modems zur Ermoglichung einer Kommunikation mit ei- 
nem Fernzugriff snetz verwendet, sollte erkannt werden, daB 30 
keine Modems zur Verwirklichung der Erfindung erforder- 
lich sind. Insbesondere kGnnen das Internet oder private 
Netze verwendet werden. 

Wahrend die Erfindung unter Bezugnahme auf bevor- 
zugte Ausfuhrungsbeispiele beschrieben ist, ist es fur Fach- 35 
leute offensichtlich, daB verschiedene Anderungen ausge- 
fiihrt werden konnen und daB Elemente davon durch Aqui- 
valente ersetzt werden konnen, ohne den Bereich der Erfin- 
dung zu vcrlasscn. Darubcr hi n aus konnen viclc Modifika- 
tionen ausgefiihrt werden, um eine spezielle Situation an die 40 
T^chrc der Erfindung anzupasscn, ohne ihrcn wcscntlichcn 
Bereich zu vcrlasscn. Dahcr soil die Erfindung nicht auf das 
offenbarte, als die beste Form zur Ausfuhrung der Erfindung 
bctrachtctc spcy.icllc Ausfuhrungsbeispiel beschrankt sein, 
sondem die Erfindung soli alle Ausfuhrungsbeispiele um- 45 
fassen, die in den Schutzbereich der beigefugten Patentan- 
spruche fallen. 

Der Ausdruck "Softwareanwendung", wie er in den Pa- 
tentanspriichen verwendet ist, soil Software jeder Art ein- 
schlieBlich Ajiwendungsprogrammierung, Konfigurations- 50 
dateien, Protokollen, Datendateien, Arbeitslisten, Dienstbe- 
richten, Systemverlaufen, Diensmilfseinrichtungen, Sy- 
stemleistungsdaten, proprietaren Dokumenten, Reparatur- 
verfahren, Geschaftsaufzeichnungen usw., jedoch nicht dar- 
auf beschrankt, umfassen. 55 

Die Erfindung stellt ein Verfahren und ein System zur Zu- 
stellung geschutzter Softwareanwendung en von einer zen- 
tralen Dienstanlage (22) zu entfernten Systemen (12) bereit, 
wobei die Zustellung auf der Grundlage der Gemeinschafts- 
mitgliedschaft des Eenutzers eines entfernten Systems ver- GO 
waltet wird. Es werden Geschaftsregeln (118) verwendet, 
um zu bestimmen, ob ein spezieller beglaubigter Benutzer, 
der einen Zugriff auf eine geschiitzte Softwareanwendung 
von einem speziellen entfernten Standort anstrebt, berech- 
tigt werden solL Eine Vielzahl von Web-Servem (110) ist 65 
dazu programmiert, einen selektiven Zugriff auf eine resi- 
dents Softwareanwendung oder mehrere residente Softwa- 
reanwendungen durch Benutzer eines entfernten Systems 



iiber ein Netz (80) zu ermoglichen. Der Zugriff wird durch 
einen zentralen Richtlinien-Server (114) basierend auf Be- 
nutzer- und Systeminformationen so wie Gemeinschaftsdefi- 
nitionen, die in einer Datenbank (116) gespeichert sind, ver- 
waltet Der Richtiinien-Serv r er kommuniziert mit jedem 
Web-Server iiber ein in dem Web-Server enthaltenes Agen- 
turmodul (112). Das Agenturmodul fangt Anforderungen 
zum Zugriff von Benutzem eines entfernten Systems ab und 
verbindet sich daraufhin mit dem Richtlinien-Server. Der 
Richtlinien-Server begiaubigt Kennworter, wahrend er die 
Beglaubigung zugeordneter Sicherheitscodes an einen Si- 
cherheits-Server (126) iibergibt. Falls das Kennwort und der 
Sicherheitscode begiaubigt werden, wendet der Richtlinien- 
Server daraufhin die Geschaftsregeln an, um zu bestimmen, 
ob der anfordernde Benutzer eines entfernten Systems dazu 
befugt ist, auf die angeforderte geschiitzte Software zuzu- 
greifen. 

Patentanspruche 

1 . Verfahren zur Ennoglichung eines Zugrifls auf eine 
geschiitzte Softwareanwendung durch einen Benutzer 
eines entfernten medizinischen Diagnosesystems uber 
ein Netz, wobei die geschutzte Softwareanwendung bei 
einer zentralen Anlage gespeichert ist und eine Sicher- 
heitsfreigabe zum Zugriff erfordert, mit den Schritten: 
der Benutzer des entfernten Systems ubertragt eine An- 
forderung zum Zugriff uber das Netz zu der zentralen 
Anlage (160); 

der Benutzer des entfernten Systems ubertragt eine Be- 
nutzeridentifizierung, ein Kennwort und einen Sicher- 
heitscode uber das Netz zu der zentralen Anlage (164); 
die zentrale Anlage bestimmt ob das Kennwort und 
der Sicherheitscode glaubwurdig sind (166); 
die zentrale Anlage bestimmt, ob der Benutzer des ent- 
fernten Systems zum Zugriff auf die geschutzte Soft- 
wareanwendung befugt ist (168); und 
dem Benutzer des entfernten Systems wird der Zugriff 
auf die geschiitzte Softwareanwendung crmoglicht 
(178), falls das Kennwort und der Sicherheitscode 
glaubwurdig sind und falls der Benutzer des entfernten 
Systems dazu befugt ist, auf die geschiitzte Software- 
anwendung zuzugrcifen. 

2. Verfahren nach Anspruch 1 , wobei die zentrale An- 
lage das von dem Benutzer des entfernten Systems 
ubertragene Kennwort begiaubigt, indem sie das Kenn- 
wort mit einem aus einer Gemeinschaftsverwaltungs- 
datenbank wiedergewonnenen Kennwort vergleicht. 

3. Verfahren nach Anspruch 1, wobei die zentrale An- 
lage den von dem Benutzer des entfernten Systems 
ubertragenen Sicherheitscode begiaubigt, indem sie ei- 
nen Bezugssicherheitscode gemaB einem Zufallszah- 
lenei^ugungsalgorithmus unter Verwendung einer aus 
einer Gemeinschaftsverwaltungsdatenbank wiederge- 
wonnenen Keimzahl und Zufallszahlenerzeugungsan- 
fangszeit erzeugt und den Bezugssicherheitscode mit 
dem von dem Benutzer des entfernten Systems ubertra- 
genen Sicherheitscode vergleicht. 

4. Verfahren nach Anspruch 1, wobei die Softwarean- 
wendung historische Leistungsdaten fur das entfernte 
medizinische Diagnosesystem umfaBt. 

5. Verfahren nach Anspruch 1, wobei die Softwarean- 
wendung eine Hilfseinrichtung zum Vornehmen von 
Diensten bei dem entfernten medizinischen Diagnose- 
system umfaBt 

6. Verfahren nach Anspruch 1, wobei die Softwarean- 
wendung proprietare Informationen iiber bei dem ent- 
fernten medizinischen Diagnosesystem verwendete 
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Software umfafit. 

7. Verfahren nach Anspruch 1, wobei die Gemein- 
schaftsverwaltungsdatenbank Kennworter und Sicher- 
heitscodes fur jede Person speichert, die zum \brneh- 
men von Diensten bei dem entfernten medizinischen 5 
Diagnosesystem und zum Zugriff auf dienstbezogene 
Anwendungen von dem entfemten medizinischen Dia- 
gnosesystem iiber das Netz befugt ist. 

8. Verfahren nach Anspruch 1, wobei der Benutzer des 
entfernten Systems eine Anforderung zum Zugriff und 10 
Benutzeridentifizierungsdaten tibertragt, indem er mit 
einem Web-Browser bei dem entfemten medizinischen 
Diagnosesystem interagiert 

9. System mit: 

einem Netz (80); 15 
einem Web-Server (110), der mit dem Netz verbunden 
ist und ein Agentuniiodul (112) umfaBt, das zur Frei- 
gabe eines Zugriffs auf eine geschUtzte Softwarean- 
wendung im Ansprechen auf eine Genehmigung pro- 
grainmiert ist; 20 
einem entfernten medizinischen Diagnosesystem (12) 
mit einem Web-Browser (104) zur Ubertragung einer 
Anforderung zum Zugriff auf die geschUtzte Software- 
anwendung, einer Benutzeridentifizierung, eines Kenn- 
worts und eines Sicherheitscodes zu dem Web-Server 25 
tiber das Netz; 

einer Gemeinschaftsverwaltungsdatenbank (116), die 
mit jeweiligen Benutzern verbundene Benutzerinfor- 
mationen, Standortinformationen, mit jeweiligen ent- 
fernten medizinischen Diagnosesystemen verbundene 30 
Systeminformadonen und Vetragsinformationen sowie 
Genehmigungskriterien umfassende Regeln zur Be- 
stimmung des Zugriffs auf jeweilige geschUtzte Soft- 
w are anwendungen aufweist; 

einem Sicherheits-Server (126), der zur Beglaubigung 35 
des Sicherheitscodes programmiert ist; und 
einen Richtlinien- Server (114), der mit der Gemein- 
schaftsverwaltungsdatenbank, mit dem Agentunnodul 
und mit dem Sichcrhcits-Scrvcr kommunizicrt, wobei 
der Richtlinien-Server zur Beglaubigung des Benutzer- 40 
kennworts und zur "Obcrrragung der Genehmigung zu 
dem Agcnturmodul, falls das Kcnnwort und der Si- 
chcrhcitscodc glaubwtirdig sind und falls allc Geneh- 
migungskriterien fur die geschUtzte Sofltwarcan wen- 
dung erfullt sind, programmiert ist. 45 

10. System nach Anspruch 9, wobei der Richtlinien- 
Server zur Ausfuhrung der nachstehende Schritte pro- 
grammiert ist: 

Empfangen der Anforderung zum Zugriff, der Benut- 
zeridentifizierung, des Kennworts und des Sicherheits- 50 
codes von dem Agentunnodul; 

Wiedergewinnen eines Kennworts und einer Keimzahl, 
die mit der empfangenen Benutzeridentifizierung ver- 
bunden sind, aus der Gemeinschaftsverwaltungsdaten- 
bank; 55 
Bestimmen, ob das wiedergewonnene Kcnnwort zu 
dem empfangenen Kennwort pafit; und 
Obertragen der wiedergewonnenen Keimzahl zu dem 
S icherheits-Server. 

11. System nach Anspruch 10, wobei der Sicherheits- GO 
Server den empfangenen Sicherheitscode beglaubigt, 
indem er gemaB einem Zufallszahlenerzeugungsalgo- 
rithmus einen Bezugssicherheitscode aus der wieder- 
gewonnenen Keimzahl erzeugt. 

12. System nach Anspruch 10, wobei der Richtlinien- 65 
Server dazu programmiert ist, zu bestimmen, ob die 
Benutzeridentifizierung eine Person identifiziert, die 
zum Zugriff auf die geschUtzte Softwareanwendung 



befugt ist, indem er die nachstehenden Schritte aus- 
tuhrt: 

Wiedergewinnen der Genehmigungskriterien fur die 
geschUtzte Softwareanwendung aus der Gemein- 
schaftsverwaltungsdatenbank; 

Wiedergewinnen von Informationen fur eine Variable 
oder mehrere Variablen aus der Gemeinschaftsverwal- 
tungsdatenbank; und 

Bestimmen, ob die Variablen die Genehmigungskrite- 
rien eriullen. 

13. System nach Anspruch 9, wobei die geschUtzte 
Softwareanwendung historische Leistungsdaten (130) 
fur das entfernte medizinische Diagnosesystem um- 
faBt. 

14. System nach Anspruch 9, wobei die geschUtzte 
Softwareanwendung eine Hilfseinrichtung (128) zum 
Vornehmen von Diensten bei dem entfernten medizini- 
schen Diagnosesystem umfaBt. 

15. System nach Anspruch 9, wobei die geschUtzte 
Softwareanwendung proprielare Informationen tiber 
bei dem entfernten medizinischen Diagnosesystem 
verwendete Software umfaBt. 

16. System nach Anspruch 9 mit einer Firewall (138) 
zwischen dem Web-Server und dem Richtlinien-Ser- 
ver. 

17. System zur Ermoglichung eines Zugriffs auf eine 
geschUtzte Softwareanwendung durch einen Benutzer 
eines entfernten medizinischen Diagnosesystems tiber 
ein Netz (80), wobei die geschUtzte Softwareanwen- 
dung bei einer zentralen Anlage (22) gespeichert ist 
und eine Sicherheitsfreigabe zum Zugriff erfordert, 
wobei das entfernte System eine Einrichtung (104) zur 
Ubertragung einer Anforderung zum Zugriff auf die 
geschUtzte Softwareanwendung, einer Benutzeridenti- 
fizierung, eines Kennworts und eines Sicherheitscodes 
zu der zentralen Anlage Uber das Netz umfaBt; und wo- 
bei die zentrale Anlage eine Einrichtung (114, 116, 
126) zur Bestimmung, ob das Kennwort und der Si- 
cherheitscode glauhwurdig sind, cine Einrichtung (114, 
116) zur Bestimmung, ob der Benutzer des entfernten 
Systems zum Zugriff auf die geschUtzte Softwarean- 
wendung befugt ist, und cine Einrichtung (110, 112, 
114) zur Ermoglichung des Zugriffs auf die Software- 
anwendung fUr den Benutzer des entfernten Systems, 
falls das Kennwort und der Sicherheitscode glaubwiir- 
dig sind und falls der Benutzer des entfemten Systems 
zum Zugriff auf die geschUtzte Softwareanwendung 
befugt ist, umfaBt. 

18. System nach Anspruch 17, wobei die zentrale An- 
lage eine Einrichtung (114) zur Beglaubigung des von 
dem Benutzer des entfernten Systems ubertragenen 
Kennworts durch einen Vergleich des Kennworts mit 
einem aus einer Datenbank (116) wiedergewonnenen 
Kennwort umfaBt. 

19. System nach Anspruch 17, wobei die zentrale An- 
lage eine Einrichtung (126) zur Beglaubigung des von 
dem Benutzer des entfernten Systems ubertragenen Si- 
cherheitscodes durch eine Erzeugung eines Bezugssi- 
cherheitscodes gemaB einem Zufailszahlenerzeu- 
gungsalgorithmus unter Verwendung einer aus einer 
Datenbank wiedergewonnenen Keimzahl und Zufalls- 
zahlenerzeugungsanfangszeit und durch einen Ver- 
gleich des Bezugssicherheitscodes mit dem von dem 
Benutzer des entfernten Systems ubertragenen Sicher- 
heitscode umfaBt. 

20. System nach Anspruch 17, wobei die den Zugriff 
ermdglichende Einrichtung einen Web-Server (110) 
umfaBt, der zur selektiven Ermoglichung des Zugriffs 
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auf die geschiitzte Softwareanwendung im An spree hen 
auf die Genehmigung programmiert ist, wobei von 
dem entfernten medizinischen Diagnosesystem uber 
das Netz auf den Web-Server zugegriffen wind. 
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